如何使用Public客户端签发的Token查询Keycloak资源权限

你收到该报错的核心原因是：/authz/protection/uma-policy 属于Keycloak的UMA资源管理类接口，仅允许已开启Authorization功能、注册为资源服务器的客户端调用，你使用前端Public客户端blog_gui签发的JWT作为请求凭证，而blog_gui没有开启资源服务器配置，自然被Keycloak拦截报错。

• 第一步：API侧首先校验前端传入的blog_gui签发的JWT合法性，包括验签、过期时间、签发域等基础字段，确认用户身份有效。
• 第二步：API使用自身的blog_api客户端凭证（client_id + client_secret），向Keycloak发起客户端凭证模式的令牌请求，获取资源服务器专属的访问令牌：
  调用地址：http://${host}:${port}/auth/realms/${realm}/protocol/openid-connect/token
  请求参数（x-www-form-urlencoded格式）：

  grant_type=client_credentials
  client_id=blog_api
  client_secret=你的blog_api客户端密钥
  

• 第三步：使用第二步获取到的blog_api的访问令牌作为Bearer凭证，调用/authz/protection/uma-policy接口，同时将待校验的用户JWT、目标资源ID、权限范围等参数按接口要求传入请求体，即可拿到该用户对对应资源的权限校验结果。

如果你的API服务有对应的Keycloak适配器（比如Spring Boot、Node.js生态都有成熟适配包），可以直接将API配置为Keycloak资源服务器，适配器会自动完成JWT校验、权限匹配逻辑，不需要手动调用UMA接口。

内容的提问来源于stack exchange，提问作者PrestonDocks